Una nueva y crítica vulnerabilidad en el kernel de Linux, identificada como CVE-2026-99999 y apodada PwnEscape, ha sido revelada. Esta falla permite que el código ejecutado dentro de una máquina virtual (VM) lea la memoria del host subyacente. Investigadores demostraron esta fuga contra los entornos de prueba en la nube de Vercel, quienes confirmaron el hallazgo. La vulnerabilidad afecta a cualquier entorno que utilice virtualización basada en Linux, incluyendo grandes proveedores de la nube y empresas con infraestructura de nube híbrida.
La falla PwnEscape reside en el código de red del kernel de Linux, lo que significa que no es una configuración específica de un proveedor de nube, sino un problema en la capa compartida que estos utilizan para aislar las cargas de trabajo de los clientes. El investigador demostró que paquetes de red especialmente diseñados desde una VM invitada podían realizar tres acciones: leer la memoria del host (aproximadamente 32 bytes por paquete), provocar un bloqueo del host o ejecutar código en él. Es importante destacar que el vector de ataque es local, lo que implica que el atacante ya debe tener código en ejecución dentro de una VM invitada; no es explotable desde internet abierto. Aunque la ejecución de código fue observada en entornos de laboratorio, no hay indicios de que la vulnerabilidad haya sido utilizada en ataques reales.
La vulnerabilidad ha sido calificada con una severidad de 9.3 sobre 10 (Crítica). La solución es un cambio específico en el kernel de Linux (commit 6785011f8b16) que añade una verificación para evitar que los datos de checksum de los paquetes apunten al encabezado IPv4 incorrectamente. Las versiones del kernel que incluyen esta corrección son:
- 5.10.272 (rama 5.10)
- 5.15.223 (rama 5.15)
- 6.1.190 (rama 6.1)
- 6.6.159 (rama 6.6)
- 6.12.113 (rama 6.12)
- 6.18.57 (rama 6.18)
- 7.2.11 (rama 7.2) Se recomienda encarecidamente actualizar el kernel del host a una de estas versiones corregidas y reiniciar el sistema. Si la actualización inmediata no es posible, las mitigaciones incluyen deshabilitar la virtualización anidada y ejecutar las micro-VMs bajo mecanismos de aislamiento como el “jailer” de Firecracker, que limita los permisos del proceso de la máquina virtual. Es crucial verificar las versiones específicas y los avisos de su distribución de Linux, ya que estas pueden aplicar parches sin cambiar el número de versión principal.
Qué significa para tu empresa: Una vulnerabilidad como PwnEscape subraya la importancia crítica de mantener la seguridad en la infraestructura de nube híbrida (AWS, Azure, Google Cloud). Para organizaciones que dependen de servicios virtualizados, la seguridad del kernel es la base de la segmentación y el aislamiento entre cargas de trabajo. Es esencial implementar procesos rigurosos de gestión de parches para sus hosts virtualizados, asegurando que las actualizaciones del kernel se apliquen de manera oportuna y que se evalúen las mitigaciones adecuadas cuando los parches no pueden aplicarse inmediatamente.
Fuente original: The Hacker News — ver artículo →